kintoneのセキュリティ対策：安全な利用のために押さえるべきポイント
導入文
kintoneは、業務改善や業務の効率化を目指して多くの企業で活用されていますが、データの安全性を確保するためには、適切なセキュリティ対策が欠かせません。クラウド型の業務アプリケーションであるkintoneは、企業の大切なデータを管理するため、外部からの攻撃や内部の不正アクセスから守るために十分な対策が必要です。
本記事では、2026年時点の公式情報を踏まえ、kintoneを安全に運用するために重要なセキュリティ対策を解説します。システム管理者や利用者が知っておくべき基本設定、アクセス制御、監査ログ、バックアップの考え方を確認し、企業の情報資産を守る運用に役立ててください。
本文
1. kintoneとは？その概要とセキュリティの重要性
kintoneは、サイボウズが提供するクラウド型業務管理プラットフォームで、チームや企業のデータ管理や業務フローの改善を目的としたツールです。データの保存、共有、可視化、分析など、業務を効率化する機能が豊富に搭載されています。kintoneはその柔軟なカスタマイズ性やAPI連携機能により、多くの企業に導入されていますが、クラウド上でデータを管理するため、セキュリティの重要性が非常に高くなります。
クラウドサービスを利用する場合、物理的なセキュリティだけでなく、データの通信経路やアクセス権限の管理、バックアップなどのソフトウェア面でのセキュリティ対策も求められます。kintoneを使う上で、企業の情報資産を守るために適切なセキュリティ対策を講じることが必要不可欠です。
2. kintoneのセキュリティの基本機能
kintoneは、業務管理ツールとして利用するために強力なセキュリティ機能を提供しています。以下はその代表的なセキュリティ機能です。
2.1. SSL/TLS通信によるデータ暗号化
kintoneはSSL接続で提供され、ブラウザとサーバー間の通信は暗号化されます。公式のTrust Centerでは、通信中のデータだけでなく、kintone.comに保存される顧客データもAWSの機能を利用して暗号化されると説明されています。社内ネットワークや端末側の管理とあわせて、通信経路と保存データの両面でリスクを下げる考え方が重要です。
2.2. アクセス管理機能
kintoneでは、ユーザーごとに詳細なアクセス権限を設定できるため、必要な人だけが必要な情報にアクセスできるように制限することが可能です。これにより、機密情報や業務データへのアクセスを適切に管理し、不正アクセスのリスクを減らすことができます。
2.3. 二段階認証
kintoneでは、ユーザーアカウントに対して二段階認証を設定することができます。これにより、パスワードを知っているだけではログインできなくなり、不正ログインのリスクを大幅に低減できます。
2.4. IPアドレス制限
IPアドレス制限を使うと、会社や拠点など許可した送信元IPアドレスからのアクセスに絞り込めます。外出先やリモートワークから利用する場合は、IP制限だけで運用しにくいケースもあるため、2要素認証やセキュアアクセスなどと組み合わせて設計するのが現実的です。
2.5. 定期的なセキュリティパッチの提供
kintoneはクラウドサービスのため、利用企業がサーバーへ個別にセキュリティパッチを適用する運用ではありません。管理者側で重要なのは、公式からのメンテナンス情報や仕様変更を確認し、ログイン設定、APIトークン、外部連携、権限設定など自社側で管理する項目を定期的に見直すことです。
3. ユーザー管理とアクセス権限設定
kintoneのセキュリティを強化するためには、ユーザー管理とアクセス権限の設定が非常に重要です。ユーザー権限が適切に設定されていないと、必要な情報にアクセスできる人がアクセスできず、逆に不必要な情報にアクセスできる人がいるという状況が発生する可能性があります。
3.1. ユーザーの役割ごとにアクセス権限を設定
kintoneでは、ユーザーの役割に応じてアクセス権限を細かく設定することができます。たとえば、「閲覧のみ」「編集可」「管理者」といった権限を設定することができ、データの操作に対する制限を加えることができます。役割に基づいて必要最低限のアクセス権を付与することで、情報の漏洩を防ぐことができます。
3.2. グループ管理の活用
kintoneでは、ユーザーをグループに分けて管理することができます。これにより、グループ単位で一括して権限を設定でき、個別に設定する手間を省くことができます。特定の業務を担当するグループに必要なアプリやデータへのアクセス権を付与し、不要なデータにアクセスできないようにすることが可能です。
3.3. アクセス履歴の監査
kintoneでは、ユーザーのアクティビティを記録し、いつ、誰が、どのデータにアクセスしたかを確認することができます。この監査機能により、不正アクセスやデータの不正操作を発見した場合に迅速に対応することができます。
4. パスワード管理と二段階認証の活用
パスワードは、システムへの最も基本的なアクセス手段です。しかし、パスワードが不十分な場合、アカウントが不正に使用されるリスクがあります。kintoneでは、パスワードの強度を設定することができ、より強力なパスワードを要求することでセキュリティを向上させることができます。
4.1. 強力なパスワードポリシーの設定
cybozu.com共通管理では、ユーザーパスワードと管理者パスワードの最小文字数、複雑さ、ログイン名と同じパスワードの禁止、パスワード有効期間などを設定できます。自社のセキュリティポリシーに合わせ、管理者アカウントは特に強い条件にしておくことが重要です。
4.2. 二段階認証の実施
2要素認証を導入すると、パスワードだけではログインできない状態にできます。cybozu.comではユーザーに2要素認証の利用を許可または必須化できますが、2要素認証を有効にしたユーザーはkintone REST APIなどでパスワード認証を利用できないため、APIトークン、セッション認証、OAuth認証など適切な認証方式へ切り替える設計も必要です。
5. 監査ログとアクティビティトラッキング
kintoneは、ユーザーの操作履歴やシステムのアクティビティをログとして記録することができます。これにより、不正アクセスや異常な操作が発生した際に、迅速に原因を特定し、対応することが可能です。
5.1. 監査ログの活用
監査ログでは、いつ、誰が、どのような操作を行ったかを確認できます。cybozu.com共通管理から閲覧・ダウンロードでき、保存期間は6週間から10年間の範囲で設定可能です。重要レベルや情報レベルのログをメール通知する設定も用意されているため、インシデント調査だけでなく、日常的な監視体制にも活用できます。
5.2. アクティビティのモニタリング
アクティビティを確認する際は、監査ログの絞り込み、ダウンロード、メール通知を組み合わせます。大量ダウンロードや権限変更などの不審な操作を後から追跡できるよう、保存期間、通知先、確認頻度を事前に決めておきましょう。リアルタイム検知が必要な場合は、kintone単体の標準機能だけで完結させるのではなく、外部の監視基盤や運用ルールとの連携も検討します。
6. 外部アプリケーションとの連携時のセキュリティ
kintoneは他のアプリケーションや外部サービスと連携することができるため、外部サービスとの連携時にはセキュリティを確保するために十分な配慮が必要です。APIを通じて連携する場合、認証情報やAPIキーの管理が重要です。
6.1. API認証の実施
kintoneと外部アプリケーションを連携する場合、API認証を使用して安全な接続を確保することが求められます。kintoneでは、OAuth認証やAPIトークンを利用することで、外部サービスがkintoneのデータにアクセスする際のセキュリティを強化できます。
6.2. APIアクセスの制限
APIを利用する場合、特定のIPアドレスやドメインからのみアクセスを許可する設定を行うことができます。これにより、悪意のある第三者がAPI経由で不正アクセスすることを防ぐことができます。
7. データのバックアップとリカバリープラン
万が一のデータ消失や誤削除に備えるため、バックアップとリカバリープランは必須です。kintoneでは、ファイル書き出し機能を使ってアプリのレコードをCSVファイルとしてバックアップできます。ただし、公式ヘルプではkintone上のすべてのアプリのレコードを一括でバックアップすることはできないと案内されています。重要なアプリごとに、出力対象、頻度、保管場所、復旧手順を決めておく必要があります。
7.1. 定期的なバックアップの実施
定期的なバックアップでは、重要アプリのレコードを書き出し、CSVファイルをアクセス権限の管理された場所に保管します。添付ファイルやコメントなど、ファイル出力できるデータには制限があるため、どの情報を復旧対象にするかも事前に確認しておきましょう。自動化したい場合は、kintone APIや外部バックアップサービスを利用する方法もありますが、認証情報の管理と復旧テストまで含めて設計することが重要です。
7.2. リカバリーテストの実施
バックアップが取れているからと言って安心するのではなく、定期的にバックアップデータのリカバリーテストを行い、実際にデータが復旧できるかどうかを確認することが大切です。